e-mail spoofing, een slecht idee?

[Standeman]

Via ons SaaS platform is het de bedoeling dat we e-mails uit naam van klanten gaan sturen naar hun eigen klanten. Het komt er dus op neer dat onze mailserver e-mails gaat versturen met een reply-to en from adres van een ander domein. Het komt er eigenlijk op neer dat we aan email spoofing gaan doen en volgens mij is dat niet zo'n goed idee. Ik heb zo'n vermoeden dat dit nog wel eens kan leiden dat we blacklisted gaan worden of dat op zijn minst onze mails in spam folders terecht gaan komen of dat de mails bouncen.

Voorbeeldje:
* smpt server is smpt.pietje.nl
* from en reply-to address is [e-mail]
* To address is [e-mail]

Als ik ga zoeken (Google / GoT) vind ik alleen maar vragen over hoe je van een blacklist afkomt en niet wanneer je er op komt (tenzij je echt spam aan het versturen bent, met open-relay ofzo).

Ik zit me af te vragen of mijn zorgen terecht zijn. De [e-mail] verwacht de e-mails wel, dus het valt officieel niet onder spam (maar ik vermoed dat de mailserver klant-van-klant.nl daar heel anders over denkt).

[ Voor 10% gewijzigd door Standeman op 26-04-2012 09:32 ]

[F_J_K]

Zorg dat (ook!) jouw IP-adres in het SPF-lijstje van klant.nl staat.

Er van uitgaande dat jouw mailserver zich verder netjes gedraagt en het niet om enorm veel mails gaat (de mails worden immers verwacht), zou ik dan geen probleem verwachten. Misschien bij bounces die juist klant.nl niet verwacht.

Garantie tot de deur

[CyBeR]

Ten eerste spoof je helemaal niks: jij stuurt legitiem een e-mail met een bepaald afzenderadres. Spoofen impliceert dat je dat zonder toestemming doet omdat je jezelf wilt verstoppen.

Verder: het From: en Reply-To: adres in een mail header is compleet onbelangrijk. Het enige belangrijke is de envelope-from. Daar kun je twee dingen mee doen:
• Instellen op een adres van jullie zelf
• Instellen op het adres van de klant

Beide mogelijkheden zijn ok. Dit is waar bounces heen gaan overigens, dus dat eerste is logischer omdat je dan bounce processing kunt doen.


Of jij het adres van je klant gebruikt of niet, maakt voor blacklists niet uit. Daar kom je op als je, naar mening van de ontvanger, spam verstuurt. Of je dat netjes met je eigen adres doet, met het adres van je klant of als je de complete headerinformatie compleet vervalst maakt niet uit.


Het enige waar je tegenaan kunt lopen is met zaken als SPF, en sommige ontvangers die niet accepteren dat mail van hun domein naar hen toegestuurd wordt. Dat eerste is op te lossen door jullie mailservers op te nemen in de SPF records. Dat laatste is een instelling van je klant en zij zullen een uitzondering moeten maken voor jullie servers.

[Standeman]

CyBeR schreef op donderdag 26 april 2012 @ 09:52:
Ten eerste spoof je helemaal niks: jij stuurt legitiem een e-mail met een bepaald afzenderadres. Spoofen impliceert dat je dat zonder toestemming doet omdat je jezelf wilt verstoppen.

Ah, dat is duidelijk. Het is niet zonder toestemming en we willen ons zeker niet verstopppen

[q]
Verder: het From: en Reply-To: adres in een mail header is compleet onbelangrijk. Het enige belangrijke is de envelope-from. Daar kun je twee dingen mee doen:

• Instellen op een adres van jullie zelf
• Instellen op het adres van de klant

Beide mogelijkheden zijn ok. Dit is waar bounces heen gaan overigens, dus dat eerste is logischer omdat je dan bounce processing kunt doen.

evenlop-from doen we verder niets mee. Dat staat ingesteld op on eigen adres.

Of jij het adres van je klant gebruikt of niet, maakt voor blacklists niet uit. Daar kom je op als je, naar mening van de ontvanger, spam verstuurt. Of je dat netjes met je eigen adres doet, met het adres van je klant of als je de complete headerinformatie compleet vervalst maakt niet uit.

Dus dat is normaal gesproken niet geautomtiseerd? Dat er, zeg maar, abuse meldingen gestuurd worden wanneer x % geen "kloppende" header-info heeft.

Het enige waar je tegenaan kunt lopen is met zaken als SPF, en sommige ontvangers die niet accepteren dat mail van hun domein naar hen toegestuurd wordt. Dat eerste is op te lossen door jullie mailservers op te nemen in de SPF records. Dat laatste is een instelling van je klant en zij zullen een uitzondering moeten maken voor jullie servers.

Duidelijk

[CyBeR]

Standeman schreef op donderdag 26 april 2012 @ 10:10:
[...]

Dus dat is normaal gesproken niet geautomtiseerd? Dat er, zeg maar, abuse meldingen gestuurd worden wanneer x % geen "kloppende" header-info heeft.

Geautomatiseerd is 't wel bij de grotere ontvangers van mail (denk gmail, hotmail), maar niet op basis van afzenderadres alleen.

Sowieso, jullie header-info klopt gewoon aangezien die netjes is gegenereerd door jullie MTA's dus nergens om bang voor te zijn.

Mijn mail server heet ook mail.pietje.nl, maar die verstuurt en ontvangt ook mail voor jaap.nl. (Bij wijze van spreken-- ik hoor niet bij jaap.nl of pietje.nl )

[Keypunchie]

Goed laten instellen van SPF-records is inderdaad een goed advies.

Het hangt ook een beetje van de content van de mails af. Als veel mensen op de "spam" knop gaan rammen, dan komt de mail niet aan. Ook als de content hoge scoort op spamfilters vanwege bepaalde woorden (of dat het een ontzettend lelijk opgezette HTML-file is), dan kan het lastig worden.

Ook zijn er ontvangende mailservers (vooral bij Franse en Duitse providers) die je tijdelijk gaan bannen, als je te veel connecties tegelijk opzet. Let bij het opzetten dat je de mailings dus wel een beetje doseert. Afhankelijk van je volume zou je bijvoorbeeld een max van 2 connecties naar een specifiek domein kunnen opzetten. Hou vooral de logs in de gaten waar de bounces vandaan komen, dan kun je vaak met behulp van die informatie en een beetje google-fu wel zien wat er aan de hand is.

Let ook op dat er een mechanisme komt om bounces sowieso goed af te handelen en dit terug te koppelen aan de verstuurder om zijn bestanden op te schonen (mensen die bijvoorbeeld per ongeluk een @gmail.nl ergens ingevuld hebben). Anders ga je altijd een vuile queue houden en wordt het lastiger om te troubleshooten waar problemen vandaan komen.

[Verwijderd]

Wat wellicht verstandig is is dat jullie klant jullie mailserver in hun spf record toe gaat voegen.

[ Voor 4% gewijzigd door Verwijderd op 26-04-2012 11:28 ]